คู่มือตั้งค่า MikroTik v7 WireGuard Site-to-Site VPN แบบละเอียด

เจาะลึกปัญหาหน้างานจริงและข้อจำกัดของ VPN ยุคเก่า

กว่า 80% ของปัญหาเน็ตเวิร์กสำนักงานสาขาช้าหรือหลุดบ่อย เกิดจากการเลือกใช้โหมด VPN แบบดั้งเดิม เช่น PPTP ที่มีความเสี่ยงด้านความปลอดภัยสูง หรือ L2TP/IPsec ที่มี Overhead ซับซ้อนและกินทรัพยากร CPU สูงบนเร้าเตอร์ระดับเริ่มต้น เมื่อองค์กรต้องการขยายโครงข่ายสำนักงานใหญ่และสาขาให้เชื่อมต่อหากันได้อย่างไรรอยต่อ การเปลี่ยนผ่านสู่โปรโตคอลสมัยใหม่อย่าง WireGuard บน MikroTik RouterOS v7 จึงกลายเป็นมาตรฐานใหม่ที่วิศวกรโครงสร้างพื้นฐานเลือกใช้

จากการลงพื้นที่หน้างานจริงของทีมงาน SIAM-LOGIN พบว่าปัญหาคลาสสิกที่มักพบบ่อยคือ การทำ Static Routing ข้ามอุโมงค์แล้วแพ็กเก็ตไม่ยอมวิ่ง เนื่องจากลืมเปิดอนุญาต Allowed Address หรือติดปัญหาการทำ NAT Traversal กรณีที่ฝั่งสาขาใช้ Dynamic Public IP (PPPoE) บทความนี้จึงรวบรวมขั้นตอนการคอนฟิก mikrotik v7 wireguard site to site แบบStep-by-step ที่นำไปประยุกต์ใช้งานได้จริงทันที

สเปกฮาร์ดแวร์และสถาปัตยกรรมในการทำ WireGuard Site to Site MikroTik RouterOS v7

การออกแบบระบบ VPN ระหว่างสำนักงานใหญ่ (Headquarters) และสาขา (Branch Office) จำเป็นต้องพิจารณาขีดความสามารถของฮาร์ดแวร์ โดยเฉพาะหน่วยประมวลผล (CPU) ที่ต้องรองรับการเข้ารหัสข้อมูล (Encryption/Decryption) แบบ ChaCha20-Poly1305 ซึ่ง WireGuard ถูกออกแบบมาให้ทำงานบน Kernel Space ของ Linux ทำให้ใช้ทรัพยากรน้อยมากเมื่อเทียบกับ IPsec

ในบทความนี้ เราจะจำลองสถาปัตยกรรมโดยใช้อุปกรณ์ดังนี้:

• สำนักงานใหญ่ (HQ): ใช้ MikroTik CCR2004-1G-12S+2XS (RouterOS v7.14+) ทำหน้าที่เป็น VPN Server (Public Static IP: 203.0.113.10)
• สำนักงานสาขา (Branch): ใช้ MikroTik hEX S (RB760iGS) ทำหน้าที่เป็น VPN Client (Public Dynamic IP / PPPoE)

หากองค์กรของท่านต้องการยกระดับโครงสร้างพื้นฐานเครือข่ายทั้งหมด สามารถปรึกษาทีมงานผ่าน บริการรับวางระบบ Network องค์กร เดินสาย LAN & Fiber ของเราได้ทันที

ตารางเปรียบเทียบพารามิเตอร์เชิงวิศวกรรม (Engineering Parameter Matrix Table)

เพื่อความเข้าใจที่ชัดเจนในการกำหนดค่าพารามิเตอร์ของทั้งสองฝั่ง ตารางด้านล่างแสดงการจัดสรรค่าคอนฟิกหลักสำหรับ mikrotik wireguard site to site vpn

ขั้นตอนการคอนฟิกฝั่งสำนักงานใหญ่ (HQ Server)

เริ่มต้นด้วยการสร้าง WireGuard Interface และกำหนดพอร์ตรับการเชื่อมต่อบนเร้าเตอร์ฝั่งสำนักงานใหญ่ พร้อมเพิ่ม Peer ของสาขา

# 1. สร้าง WireGuard Interface ที่สำนักงานใหญ่
/interface wireguard
add listen-port=13231 name=wg-to-branch

# 2. กำหนด IP Address ให้กับ Interface VPN Tunnel
/ip address
add address=10.255.255.1/30 interface=wg-to-branch network=10.255.255.0

# 3. เพิ่ม Peer ฝั่งสาขา (นำ Public Key ของฝั่งสาขามาใส่ใน public-key)
/interface wireguard peers
add allowed-address=10.255.255.2/32,192.168.20.0/24 interface=wg-to-branch public-key="BRANCH_PUBLIC_KEY_HERE"

หมายเหตุ: ท่านสามารถใช้ เครื่องมือสร้างสคริปต์ MikroTik RouterOS v7 บนเว็บไซต์ของเรา เพื่อช่วยลดข้อผิดพลาดในการคัดลอกค่า Public/Private Key ได้อย่างรวดเร็ว

ขั้นตอนการคอนฟิกฝั่งสำนักงานสาขา (Branch Client)

ในฝั่งสำนักงานสาขา ซึ่งมักจะเป็น IP Dynamic หรือต่อผ่าน PPPoE ให้ทำการสร้าง Interface และระบุ Endpoint Address ชี้ไปยังสำนักงานใหญ่

# 1. สร้าง WireGuard Interface ที่สาขา
/interface wireguard
add name=wg-to-hq

# 2. กำหนด IP Address ให้ฝั่งสาขา
/ip address
add address=10.255.255.2/30 interface=wg-to-hq network=10.255.255.0

# 3. เพิ่ม Peer ฝั่ง HQ (ระบุ Endpoint Address และ Endpoint Port ให้ตรงกัน)
/interface wireguard peers
add allowed-address=10.255.255.1/32,192.168.10.0/24 endpoint-address=203.0.113.10 endpoint-port=13231 interface=wg-to-hq persistent-keepalive=25 public-key="HQ_PUBLIC_KEY_HERE"

การตั้งค่า Routing และ Firewall Filter Rules

เมื่อสร้างอุโมงค์ VPN สำเร็จแล้ว ขั้นตอนต่อมาคือการประกาศเส้นทาง (Routing) ให้เครือข่ายภายในทั้งสองฝั่งมองเห็นกันได้ รวมถึงการเปิดช่องทางใน Firewall

# เพิ่ม Firewall Rule อนุญาตทราฟฟิก WireGuard บนฝั่ง HQ
/ip firewall filter
add chain=input action=accept protocol=udp dst-port=13231 comment="Allow WireGuard VPN"
add chain=forward action=accept ipsec-policy=none,none comment="Allow Forward Traffic"

# ตรวจสอบ Routing Table ว่าแพ็กเก็ตวิ่งถูกต้องหรือไม่
/ip route
add dst-address=192.168.20.0/24 gateway=wg-to-branch comment="Route to Branch LAN"

ขั้นตอนการตรวจสอบสถานะและแก้ไขปัญหา (Verification & Troubleshooting Guide)

หลังจากคอนฟิกเสร็จสิ้น ให้ทำการตรวจสอบสถานะการเชื่อมต่อด้วยคำสั่งต่อไปนี้:

• ตรวจสอบสถานะ Handshake: รันคำสั่ง /interface wireguard peers print สังเกตช่อง current-endpoint-address และเวลาล่าสุดที่ Handshake สำเร็จ หากขึ้นค่าว่างหรือเวลาไม่ขยับ แสดงว่ากุญแจ Public Key หรือพอร์ตไม่ถูกต้อง
• ทดสอบการส่งข้อมูล: ใช้คำสั่ง /ping 10.255.255.1 หรือข้ามไปปิงวง LAN ปลายทาง /ping 192.168.10.1 count=5
• ตรวจสอบด้วย Tool Torch: ใช้คำสั่ง /tool torch interface=wg-to-branch เพื่อดูว่ามีแพ็กเก็ตวิ่งผ่านอุโมงค์หรือไม่

หากระบบสำรองข้อมูลหรือเซิร์ฟเวอร์หลังบ้านยังเชื่อมต่อไม่ได้ แนะนำให้ตรวจสอบระบบจัดเก็บไฟล์ผ่าน บริการติดตั้ง Server & Synology NAS สำรองข้อมูล เพื่อความปลอดภัยของข้อมูลองค์กร

สรุปการตั้งค่า mikrotik wireguard site to site setup บน RouterOS v7 ช่วยให้องค์กรได้เครือข่าย VPN ที่มีความเร็วสูง หน่วงต่ำ (Low Latency) และคอนฟิกง่ายกว่าระบบเดิม หากพบปัญหาติดขัดในการตั้งค่าระบบเน็ตเวิร์กเชิงลึก สามารถปรึกษาทีมวิศวกรผู้เชี่ยวชาญจาก SIAM-LOGIN โทร 095-254-4519 หรือ LINE: @vrnetwork ได้ทันที